Persönliche Zugriffstoken
Mit einem persönlichen Zugriffstoken (manchmal auch API-Schlüssel genannt) können deine eigenen Tools über die API auf deine Kombine-Daten zugreifen. Das kann ein Skript sein, ein Shell-Alias, ein KI-Agent wie Claude Code oder ein Importer aus Jira. Du legst fest, worauf jedes Token zugreifen darf und wie lange es gilt. Widerrufen kannst du es jederzeit.
Tokens sind für deine eigenen Tools gedacht. Füge keins in einen Drittanbieterdienst ein, den du nicht selbst kontrollierst.
Token erstellen
Abschnitt betitelt „Token erstellen“Tokens erstellst du in der Web-App. Dafür brauchst du ein Konto mit bestätigter E-Mail-Adresse.
- Geh auf app.kombine.dev zu Einstellungen › Konto und such dort Persönliche Zugriffstoken.
- Klick auf Neues Token.
- Gib ihm einen Namen (wofür es gedacht ist, z. B. „Jira-Import“) und optional eine Beschreibung.
- Wähl unter Läuft ab in, wann es abläuft: nach 7, 30, 90 oder 365 Tagen. Standard sind 30 Tage. Tokens laufen immer ab.
- Leg die Berechtigungen fest (siehe unten). Gib ihm nur, was das Tool braucht.
- Gib dein Aktuelles Passwort ein und klick auf Token erstellen.
- Kopier dein Token sofort. Es beginnt mit
kmb_pat_und wird nur ein einziges Mal angezeigt. Kombine speichert nur einen Fingerabdruck davon und kann es deshalb nicht noch einmal anzeigen. Verloren? Widerruf es und erstell ein neues.
Du kannst bis zu 10 aktive Tokens haben.
Berechtigungen
Abschnitt betitelt „Berechtigungen“Jedes Token bekommt pro Bereich eine Stufe: Keine, Lesen oder Lesen & Schreiben. Ein Token, bei dem alles auf Keine steht, kann gar nichts.
| Bereich | Was er umfasst | Stufen |
|---|---|---|
| tasks | Aufgaben, auch importierte | Lesen / Lesen & Schreiben |
| goals | Ziele für jeden Zeitraum und Notizen zum Zeitraum | Lesen / Lesen & Schreiben |
| sessions | Fokus-Sessions, Log-Einträge und Aktivitäten | Lesen / Lesen & Schreiben |
| timer | Der laufende Timer und die Timer-Einstellungen | Lesen / Lesen & Schreiben |
| stats | Statistiken und Tageszusammenfassungen | Lesen |
Manches ist mit einem Token nie erreichbar, egal welche Berechtigungen es hat: die Anmeldung, dein Passwort und dein Konto, Geräte, App-Einstellungen und die Synchronisierung. Ein Token kann weder dein Passwort ändern noch dein Konto löschen.
Lesen umfasst jede GET-Anfrage in einem Bereich. Alles andere (erstellen, ändern, löschen) braucht Lesen & Schreiben.
Tokens ansehen und widerrufen
Abschnitt betitelt „Tokens ansehen und widerrufen“Unter Einstellungen › Konto › Persönliche Zugriffstoken siehst du deine Tokens und kannst eins widerrufen. In der App kannst du keine Tokens erstellen. Nutz dafür die Web-App.
Unter Einstellungen › Konto › Persönliche Zugriffstoken siehst du deine Tokens und kannst eins widerrufen. In der App kannst du keine Tokens erstellen. Nutz dafür die Web-App.
Einstellungen › Konto › Persönliche Zugriffstoken listet jedes Token mit seinen Berechtigungen auf, dazu wann es abläuft, wann es erstellt und wann es zuletzt verwendet wurde. Klick bei einem Token auf Widerrufen oder auf Alle widerrufen.
Das Widerrufen wirkt sofort: Die nächste Anfrage mit diesem Token schlägt fehl.
Abmelden, überall abmelden und das Ändern oder Zurücksetzen deines Passworts widerrufen Tokens nicht. Das passiert nur, wenn du sie widerrufst, wenn sie ablaufen oder wenn du dein Konto löschst. Wenn du glaubst, dass ein Token in falsche Hände geraten ist, widerruf es.
Tokens sicher aufbewahren
Abschnitt betitelt „Tokens sicher aufbewahren“- Behandle ein Token wie ein Passwort. Bewahr es in einer Umgebungsvariable oder in deinem Passwort-Manager auf, niemals in Code, den du committest.
- Ein Token pro Tool. Dann legt das Widerrufen eines Tokens die anderen nicht lahm, und an Zuletzt verwendet siehst du, welches Tool aktiv ist.
- Kurze Laufzeit für Experimente, längere für Tools, auf die du dich verlässt.